บทนำ
TH-AI Passport กำลังเจอทั้งยอดลงทะเบียนที่ยังห่างจากเป้าหมาย การตรวจสอบเรื่องการจัดซื้อ และงบ Phase 2 ที่เสนอไว้ 900 ล้านบาทถูกตัดออกจากการพิจารณางบประมาณ ขณะเดียวกันเอกสารทางการของโครงการเผยให้เห็นว่าระบบเกี่ยวข้องกับข้อมูลส่วนบุคคลและการส่ง Prompt ไปยังผู้ให้บริการ AI ต่างประเทศ
ประเด็นสำคัญจึงไม่ใช่แค่ “คนใช้มากหรือน้อย”
คำถามที่น่าสนใจกว่าคือ
ถ้าจะทำโครงการ AI มูลค่าระดับพันล้าน ใครต้องรับผิดชอบเรื่องข้อมูล คุณภาพของระบบ Vendor และผลลัพธ์ที่เกิดขึ้นจริง?
TH-AI Passport เกิดอะไรขึ้นในเดือนกันยายน 2569
TH-AI Passport เป็นโครงการที่เปิดให้คนไทยอายุ 15 ปีขึ้นไปเข้าถึงเครื่องมือและความรู้ด้าน AI โดยมีสิทธิสูงสุด 5 ล้านสิทธิ์ และเปิดใช้งานเต็มรูปแบบตั้งแต่วันที่ 31 สิงหาคม 2569
วันที่ 11 กันยายน มีรายงานว่ามีผู้ลงทะเบียนประมาณ 1.52 ล้านราย ขณะที่มีการส่ง Prompt มากกว่า 8.7 ล้านครั้ง และมีผู้เรียนบางส่วนผ่านหลักสูตรของโครงการแล้ว
แต่เรื่องไม่ได้มีแค่ยอดใช้งาน
โครงการถูกจับตาเรื่องการจัดซื้อ หลัง สส.รักชนก ศรีนอก นำเรื่องและหลักฐานไปยื่นให้ ป.ป.ช. ตรวจสอบ โดยตั้งข้อสงสัยเกี่ยวกับการกำหนด TOR และสเปกการจัดซื้อ
อีกด้านหนึ่ง งบสำหรับ Phase 2 ที่เสนอไว้ 900 ล้านบาทถูกตัดออกในการพิจารณางบประมาณปี 2570 ตามรายงานของ Thai Examiner
จุดสำคัญคือ ทั้งหมดนี้เกิดขึ้นขณะที่โครงการยังเปิดให้ประชาชนใช้งานจริง
ทำไมยอดลงทะเบียนไม่ใช่ KPI ที่ธุรกิจควรดู
ยอดลงทะเบียนบอกแค่ว่า “มีคนสมัคร”
มันยังไม่ตอบว่า
คนเหล่านั้นกลับมาใช้หรือไม่
ใช้บ่อยแค่ไหน
ได้ผลลัพธ์อะไร
คุณภาพคำตอบเป็นอย่างไร
และเงินที่ใช้ไปสร้างผลลัพธ์คุ้มค่าหรือไม่
กรณี TH-AI Passport มีการรายงานทั้งจำนวนผู้ลงทะเบียน จำนวน Prompt ผู้เรียน และผู้ที่เรียนจบหลักสูตร จึงเห็นภาพว่าการวัดผลโครงการ AI ต้องมากกว่าการนับจำนวนบัญชี
นี่เป็นบทเรียนที่ธุรกิจนำไปใช้ได้ทันที
สมมติบริษัทซื้อ AI มา 10 ล้านบาท
แล้วมีพนักงาน 5,000 คนลงทะเบียน
ตัวเลขนี้ดูดี
แต่ถ้ามีคนใช้จริงเพียง 50 คนต่อเดือน และงานที่ทำได้ไม่ได้ช่วยลดเวลา ลดต้นทุน หรือเพิ่มรายได้ บริษัทก็ยังตอบคำถามสำคัญไม่ได้ว่า AI ตัวนี้คุ้มค่าหรือไม่
ดังนั้น KPI ของ AI ควรเริ่มจาก “ผลลัพธ์” ไม่ใช่ “จำนวนผู้สมัคร”
AI Governance ของ TH-AI Passport อยู่ตรงไหน
AI Governance คือระบบที่ตอบคำถามง่าย ๆ ว่า ใครควบคุม AI ใครควบคุมข้อมูล ใครกำหนดกติกา ใครตรวจผลลัพธ์ และเมื่อระบบผิดพลาด ใครมีอำนาจหยุดหรือแก้ปัญหา
สิ่งที่น่าสนใจมากคือ Privacy Notice ของ AiPASS ระบุรายละเอียดเหล่านี้ไว้ในระดับที่ธุรกิจสามารถนำไปใช้เป็นกรณีศึกษาได้
เอกสารระบุว่า สดช. เป็นผู้ควบคุมข้อมูลส่วนบุคคลของโครงการ และอ้างอิงกฎหมาย PDPA พ.ศ. 2562 โดยมีการอธิบายวัตถุประสงค์และฐานทางกฎหมายของการประมวลผลข้อมูลหลายประเภท
พูดง่าย ๆ
AI Governance ไม่ใช่เอกสารสวย ๆ ที่วางอยู่ในเว็บไซต์
มันต้องตอบได้ว่า
“ข้อมูลอยู่ที่ไหน”
“ใครแตะข้อมูลได้”
“Vendor ทำอะไรกับข้อมูลได้บ้าง”
“ถ้า AI ตอบผิด ใครจัดการ”
และ
“ถ้าเกิดปัญหา ใครรับผิด”
TH-AI Passport เก็บข้อมูลอะไร และ Prompt ไปไหน
Privacy Notice ของ AiPASS ระบุข้อมูลส่วนบุคคลหลายประเภท ตั้งแต่ชื่อ นามสกุล อีเมล อายุ วันเกิด เลขประจำตัวประชาชน อาชีพ ช่วงรายได้ และจังหวัด ไปจนถึงข้อมูลการใช้งาน เช่น IP Address, Login Log, Session Data และ Event Logs
ที่สำคัญกว่านั้นคือ Prompt และไฟล์แนบที่ผู้ใช้ส่งเข้าระบบ อาจถูกส่งต่อไปยังผู้ให้บริการโมเดล AI ที่ผู้ใช้เลือก
เอกสารของโครงการระบุชื่อผู้ให้บริการหลายราย เช่น OpenAI, Google, Microsoft และ Anthropic และยังระบุว่าผู้ให้บริการอาจมีการเพิ่มหรือปรับเปลี่ยนได้ตามเงื่อนไขของโครงการ
ตรงนี้เป็นคำเตือนสำหรับคนทั่วไปด้วย
Prompt ไม่ได้แปลว่า “แค่พิมพ์ถาม AI”
ถ้าคุณพิมพ์ว่า
“ช่วยสรุปข้อมูลลูกค้าคนนี้ให้หน่อย”
แล้วใส่ชื่อ เบอร์โทร อีเมล ที่อยู่ หรือข้อมูลสุขภาพลงไป
ข้อมูลเหล่านั้นก็เป็นส่วนหนึ่งของข้อมูลที่ถูกส่งเข้าสู่กระบวนการ AI
เพราะฉะนั้น ผู้ใช้ไม่ควรคิดว่า “ระบบเป็นของรัฐ” แล้วทุกข้อความจะปลอดภัยโดยอัตโนมัติ
ข้อกำหนดของ AiPASS เองแนะนำให้ผู้ใช้หลีกเลี่ยงการป้อนข้อมูลส่วนบุคคลที่ไม่จำเป็น รวมถึงข้อมูลทางการเงิน สุขภาพ ชีวมิติ หรือข้อมูลของบุคคลอื่น
แล้วคำว่า AI Governance, Data Governance และ Human Oversight คืออะไร
AI Governance คือกติกาที่องค์กรใช้ควบคุม AI ตั้งแต่ก่อนซื้อ ก่อนใช้งาน ระหว่างใช้งาน และหลังเกิดปัญหา
Data Governance คือการควบคุมข้อมูลว่าเก็บอะไร ใช้เพื่ออะไร ใครมีสิทธิเข้าถึง ส่งให้ใคร เก็บนานแค่ไหน และทำลายเมื่อใด
Human Oversight หรือการกำกับโดยมนุษย์ คือการกำหนดให้คนที่มีอำนาจจริงสามารถตรวจสอบ ทบทวน หรือหยุดกระบวนการของ AI ได้เมื่อจำเป็น
พูดให้จำง่ายที่สุด
AI Governance = คุม AI
Data Governance = คุมข้อมูล
Human Oversight = คนยังคุมเกมอยู่
และสามเรื่องนี้ต้องเดินไปพร้อมกัน
ทำไมเรื่องนี้จึงเป็นบทเรียน PDPA สำหรับธุรกิจไทย
ปัญหาที่ TH-AI Passport กำลังสะท้อน ไม่ได้เป็นเรื่องเฉพาะของรัฐบาล
ลองเปลี่ยนจาก “ประชาชนใช้ AiPASS” เป็น “พนักงานบริษัทใช้ AI”
พนักงานอาจอัปโหลดสัญญาลูกค้า
อัปโหลดประวัติพนักงาน
ใส่รายชื่อผู้ติดต่อ
ส่งรายงานยอดขาย
หรือถาม AI เกี่ยวกับเรื่องภายในองค์กร
คำถามจะเปลี่ยนทันที
ข้อมูลไปไหน?
ใครเป็นคนประมวลผล?
มี Vendor รายอื่นอยู่หลัง Vendor รายแรกหรือไม่?
ข้อมูลถูกเก็บไว้นานเท่าไร?
มีการส่งข้อมูลไปต่างประเทศหรือไม่?
และผู้ให้บริการเอาข้อมูลไปใช้ต่อได้หรือเปล่า?
Privacy Notice ของ AiPASS เป็นกรณีศึกษาที่ดีมาก เพราะเอกสารของโครงการระบุทั้งการใช้งาน Prompt การเชื่อมต่อกับผู้ให้บริการ AI การจัดการข้อมูลพฤติกรรม และเรื่องการโอนข้อมูลไปต่างประเทศไว้โดยตรง
นี่คือจุดที่ธุรกิจควรกลับไปเปิดสัญญา AI ของตัวเอง
ไม่ใช่เปิดดูแค่หน้า Product Features
แต่ต้องเปิดดู Contract
ข้อร้องเรียนการจัดซื้อ AI สอนอะไรฝ่าย Procurement
การซื้อ AI ไม่ควรเริ่มจากคำถามว่า
“โมเดลตัวไหนฉลาดที่สุด?”
คำถามแรกควรเป็น
“เราจะซื้ออะไร และจะวัดว่ามันสำเร็จอย่างไร?”
จากนั้นจึงถามเรื่อง Vendor, Security, Data Processing, SLA, Audit และสิทธิในการเลิกสัญญา
กรณี TH-AI Passport ถูกตั้งคำถามเกี่ยวกับ TOR และสเปกการจัดซื้อ จึงเป็นประเด็นที่น่าสนใจสำหรับฝ่าย Procurement ทุกองค์กร เพราะ TOR หรือ Requirement ไม่ได้เป็นแค่เอกสารเทคนิค แต่มันกำหนดด้วยว่าใครสามารถแข่งขันได้ และ Vendor ที่ชนะจะต้องรับผิดอะไรในภายหลัง
พูดง่าย ๆ
ถ้าเขียน Requirement ผิดตั้งแต่ต้น การแก้ปัญหาหลังเซ็นสัญญาจะยากกว่ามาก
ผลกระทบต่อประเทศไทย: เรื่องนี้ใหญ่กว่างบ 900 ล้านบาท
TH-AI Passport เป็นกรณีศึกษาที่มีผลต่อธุรกิจไทยในหลายชั้น เพราะประเทศไทยกำลังขยับจาก “การทดลองใช้ AI” ไปสู่ “การใช้ AI เป็นโครงสร้างพื้นฐานขององค์กร” เมื่อรัฐเองต้องกำหนดทั้งจำนวนผู้ใช้ ผู้ให้บริการโมเดล ระบบการเรียนรู้ การจัดซื้อ และการจัดการข้อมูล ปัญหาที่เกิดขึ้นจึงสะท้อนโจทย์เดียวกับบริษัทเอกชนจำนวนมาก
ประเด็นแรกคือเรื่อง การจัดซื้อ AI องค์กรไม่ควรแข่งขันกันที่ราคาอย่างเดียว เพราะระบบ AI มีต้นทุนแฝง เช่น ค่า API ค่า Cloud ค่า Security ค่า Monitoring ค่า Human Review และค่าแก้ปัญหาที่เกิดจากคำตอบผิด หาก Requirement ตั้งแต่ต้นวัดเพียงจำนวนผู้ใช้หรือจำนวนครั้งที่เรียก AI องค์กรอาจได้ตัวเลขที่สวย แต่ไม่ได้ผลลัพธ์ทางธุรกิจ
ประเด็นที่สองคือ Data Governance เพราะ AI ไม่ได้แยกออกจากข้อมูล ธุรกิจจำนวนมากยังคิดว่า “เราไม่ได้สร้าง AI เอง จึงไม่ต้องสนใจเรื่อง AI Governance” แต่ในทางปฏิบัติ เมื่อองค์กรเอาข้อมูลลูกค้าหรือข้อมูลพนักงานเข้า AI ความเสี่ยงก็เริ่มทันที
ประเด็นที่สามคือ Vendor Risk บริษัทหนึ่งอาจซื้อ AI จาก Vendor A แต่ Vendor A อาจใช้ Cloud B, Model C และบริการด้านความปลอดภัยจาก D ถ้าองค์กรไม่เห็นห่วงโซ่นี้ทั้งหมด การบอกว่า “เราใช้ Vendor ที่น่าเชื่อถือ” ก็ยังไม่ตอบว่าข้อมูลขององค์กรเดินทางผ่านใครบ้าง
ประเด็นที่สี่คือ ความเชื่อมั่นของประชาชน โครงการ AI ของรัฐไม่ได้วัดแค่จำนวนผู้ใช้ เพราะประชาชนต้องเชื่อว่าข้อมูลของตัวเองถูกจัดการอย่างเหมาะสม หากเกิดความผิดพลาดด้านข้อมูล ความแม่นยำ หรือความโปร่งใส ความเสียหายอาจกระทบความเชื่อมั่นต่อโครงการดิจิทัลของรัฐในวงกว้าง
ดังนั้น บทเรียนที่สำคัญที่สุดจาก TH-AI Passport ไม่ใช่แค่ว่าโครงการจะไปต่อหรือไม่ แต่คือประเทศไทยกำลังเรียนรู้ว่า โครงการ AI ขนาดใหญ่ต้องบริหารทั้ง Technology + Data + Contract + Accountability พร้อมกัน
สิ่งที่ธุรกิจไทยควรทำต่อ
1. ทำ AI Inventory
จดให้ครบว่าองค์กรกำลังใช้ AI อะไรบ้าง ใครเป็น Vendor ใช้ทำงานอะไร และข้อมูลใดถูกส่งเข้าไป
2. ทำ Data Flow ของ AI
วาดเส้นทางตั้งแต่พนักงานหรือระบบต้นทาง → AI Platform → Model Provider → Cloud → ผู้รับช่วงรายอื่น
เห็นเส้นทางให้หมดก่อนค่อยตัดสินใจเรื่องความเสี่ยง
3. เปิดสัญญา Vendor แล้วหาคำตอบ 5 เรื่อง
เก็บข้อมูลอะไร
ใช้ข้อมูลเพื่ออะไร
เก็บนานเท่าไร
ส่งต่อใคร
เอาข้อมูลไปฝึกโมเดลหรือใช้เพื่อวัตถุประสงค์อื่นหรือไม่
4. เปลี่ยน KPI จาก “คนใช้” เป็น “ผลลัพธ์”
ดูทั้ง Active User, คุณภาพงาน, เวลาที่ลดลง, ต้นทุนที่ประหยัด และความผิดพลาดที่เกิดขึ้น
5. ให้ DPO, IT และ Procurement ตรวจร่วมกัน
AI ไม่ใช่เรื่องของ IT อย่างเดียว
PDPA ไม่ใช่เรื่องของฝ่ายกฎหมายอย่างเดียว
และ Contract ไม่ใช่เรื่องของ Procurement อย่างเดียว
มุมมองผู้เชี่ยวชาญ
“ประเด็นสำคัญไม่ใช่ว่า AI โครงการนี้เก่งหรือไม่เก่ง แต่คือ ก่อนจะใช้เงินก้อนใหญ่กับ AI เราตอบได้หรือยังว่าใครควบคุมข้อมูล ใครควบคุม Vendor และถ้า AI ผิด เรามีคนที่หยุดมันได้จริงหรือเปล่า”
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
แหล่งอ้างอิง
Thai Examiner — รายงานสถานการณ์ TH-AI Passport, จำนวนผู้ลงทะเบียน, ปัญหาการใช้งาน, การตรวจสอบโครงการ และงบ Phase 2
https://www.thaiexaminer.com/thai-news-foreigners/2026/09/13/th-ai-project-runs-into-problems-and-bottlenecks-new-ais-deal-offering-cheap-29-baht-a-month-internet/
TH-AI Passport — เว็บไซต์ทางการ
https://www.aipass.go.th/
TH-AI Passport — Privacy Notice
https://aipass.go.th/privacy-policy-th
TH-AI Passport — Terms & Conditions
https://www.aipass.go.th/term-and-cond-th
Thai PBS — รายงานการร้องเรียนต่อ ป.ป.ช. เกี่ยวกับ TH-AI Passport
https://www.thaipbs.or.th/news/content/510160
ไทยรัฐ — รายงานการยื่นเรื่องต่อ ป.ป.ช.
https://en.thairath.co.th/news/politic/2956698
คำศัพท์ที่ควรรู้
AI Governance = กติกาและระบบที่ใช้ควบคุม AI ตั้งแต่เริ่มเลือกซื้อจนถึงหลังใช้งาน
Data Governance = ระบบควบคุมข้อมูลว่าเก็บอะไร ใช้อย่างไร ใครเข้าถึงได้ และส่งต่อใคร
Human Oversight = การมีมนุษย์ที่มีอำนาจจริงคอยตรวจ ทบทวน หรือหยุดการทำงานของ AI เมื่อจำเป็น
Prompt = ข้อความ คำสั่ง หรือข้อมูลที่ผู้ใช้ส่งเข้า AI เพื่อให้ระบบประมวลผล
Data Controller = ผู้ที่เป็นคนกำหนดว่าจะเก็บ ใช้ หรือเปิดเผยข้อมูลอย่างไรและเพื่ออะไร
Vendor Risk = ความเสี่ยงที่เกิดจากผู้ให้บริการภายนอกที่องค์กรนำเข้ามาใช้ในระบบ
AI Procurement = การจัดซื้อระบบหรือบริการ AI โดยต้องพิจารณาทั้งราคา คุณภาพ ข้อมูล ความปลอดภัย และข้อผูกพันตามสัญญา
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
